Opt chei de semnare compromise ale autorității de certificare indiene eMudhra au scos la iveală o discrepanță între protecțiile browserelor și software-ul care rulează în spatele site-urilor și instrumentelor de tranzacționare. La data de 21 octombrie, principalii producători de browsere blocaseră certificatele afectate, însă unele programe care nu sunt browsere puteau accepta în continuare credențiale falsificate, deoarece nu verifică dacă certificatele au fost revocate.
Idei principale
- Cercetătorii au recuperat opt chei private slabe, care puteau fi folosite pentru semnarea unor certificate ce imitau site-uri de încredere.
- Producătorii de browsere au blocat certificatele afectate, însă revocarea nu protejează software-ul care nu o verifică niciodată.
- Nu fuseseră raportate atacuri cripto; îngrijorarea vizează software-ul învechit din întregul ecosistem al internetului.
Cuprins
- Unde persistă vulnerabilitățile în urma breșei cheilor eMudhra
- Ce protecții ajunseseră la utilizatori?
- Cum au subminat cheile slabe verificarea site-urilor
- De ce software-ul de tranzacționare necesită atenție separată
- Concluzie
Unde persistă vulnerabilitățile în urma breșei cheilor eMudhra
Distincția importantă este între retragerea unui certificat și asigurarea faptului că software-ul refuză să aibă încredere în acesta. eMudhra a revocat certificatele afectate, însă cercetătorul în domeniul securității Scott Helme a avertizat că această măsură nu protejează programele care nu verifică starea revocării.
Helme a spus că testele sale au arătat că curl, Python, Node, Go și Java au acceptat un certificat falsificat pentru API-ul Stripe. Aceasta a fost o demonstrație a acceptării certificatului, nu o dovadă că Stripe ar fi fost compromisă.
Un certificat fraudulos poate permite unui interceptor de rețea să se dea drept un serviciu de încredere și să citească sau să modifice traficul. Blocarea în browsere acoperă această cale pentru browserele protejate; ea nu demonstrează că fiecare aplicație separată sau sistem backend a beneficiat de o protecție echivalentă.
| Element | Detalii |
|---|---|
| Mozilla și Chrome | Ambele au blocat certificatele afectate pe 17 octombrie; blocarea Mozilla a urmat raportării după aproximativ trei ore. |
| Apple | A răspuns ulterior, pe 19 octombrie. |
| Microsoft | A urmat pe 20 octombrie. |
| Revocarea certificatelor | eMudhra a revocat certificatele afectate, dar această măsură este utilă numai dacă software-ul verifică revocarea. |
| Remedieri disponibile pentru software non-browser | Existau remedieri pentru Go, pachetul certifi din Python și webpki-roots din Rust. |
| Node.js | La data de 21 octombrie, o remediere era încă în așteptare. |
Ce protecții ajunseseră la utilizatori?
Răspunsul a început după ce un cercetător pe nume Wayne a alertat producătorii de browsere pe 17 octombrie. El a demonstrat că deținea controlul asupra tuturor celor opt chei compromise, folosindu-le pentru a-și semna digital avertismentul. Faptul că existau remedieri nu însemna că fiecare instalare fusese actualizată.
Cum au subminat cheile slabe verificarea site-urilor
Autoritățile de certificare furnizează credențialele pe care browserele le folosesc pentru a verifica identitatea site-urilor. Prin urmare, cheile lor private de semnare au o responsabilitate diferită de cea a unei parole obișnuite de site: o cheie de semnare compromisă poate fi folosită pentru a produce certificate cu aspect autentic pentru alte site-uri.
Helme a spus că a recuperat toate cele opt chei din certificate publice în mai puțin de o secundă. Printre valorile cheilor private pe care le-a identificat s-au numărat 4 și 56, ilustrând cât de puțină rezistență ofereau cheile la recuperare. El a spus că acestea fuseseră expuse din aprilie 2025.
Potrivit interpretării lui Helme a unui tichet de eroare Mozilla, eMudhra a dat vina pe o eroare din scriptul de configurare a cheilor.
De ce software-ul de tranzacționare necesită atenție separată
Pentru utilizatorii de criptomonede, expunerea relevantă nu se limitează la accesarea unei platforme de schimb printr-un browser. Roboții pentru platforme de schimb, scripturile de tranzacționare și sistemele backend ale portofelelor se pot baza pe software-ul non-browser afectat. În teorie, un certificat API falsificat al unei platforme de schimb ar putea permite unui atacator din aceeași rețea să intercepteze sau să modifice traficul unui robot.
Nu fuseseră raportate atacuri cripto. Mudit Gupta, directorul tehnologic al Polygon Labs, a spus că vulnerabilitatea ținea de securitatea generală a software-ului, nu era specifică domeniului cripto, iar software-ul mai vechi sau neactualizat prezenta motive deosebite de îngrijorare. El a spus că utilizatorii care își mențineau actualizate portofelele, instrumentele de tranzacționare și dispozitivele se confruntau cu un risc mai redus.
Concluzie
Răspunsul browserelor a închis o cale imediată de uzurpare a identității prin certificate, însă nu a rezolvat problema mai amplă a software-ului. Expunerea rămasă depinde de măsura în care instrumentele individuale resping credențialele compromise, nu doar de faptul că emitentul le-a revocat.
Citiți mai multe știri
Declinarea răspunderii
Acest articol FinanceVelix oferă informații generale, nu consultanță financiară, de investiții, juridică sau fiscală personalizată. Prețurile de piață, ratele dobânzilor și condițiile economice se pot schimba; investițiile implică riscul unor pierderi. Faptele reflectă informațiile disponibile la momentul publicării și se pot modifica. Verificați în mod independent informațiile importante și consultați un specialist calificat atunci când este necesar. Menționarea unui activ, a unei companii sau a unui serviciu nu constituie o recomandare.
